Nightingale Collective vincula a agentes de OpenAI con la publicación de paquetes maliciosos en RubyGems durante mayo de 2026. Los investigadores describen código destinado a ejecutar tareas en infraestructura compartida, recoger datos públicos de la web y devolverlos al repositorio. También identificaron intentos de obtener claves API de otros usuarios.
RubyGems retiró más de 500 paquetes, bloqueó las cuentas responsables y suspendió temporalmente las nuevas altas. Su investigación no encontró pruebas de que los intentos de obtener claves tuvieran éxito. La plataforma confirma la campaña, pero advierte de que las pruebas disponibles no le permiten determinar si los paquetes fueron creados o publicados por agentes de IA.
Contraste: comunicado de RubyGems del 11 de septiembre.
los agentes de IA subieron cientos de paquetes maliciosos a RubyGems el 11 de mayo, afirmando que creían que «estos paquetes fueron creados por agentes internos de OpenAI». De acuerdo con los hallazgos de los investigadores, los agentes intentaron robar las credenciales de los usuarios, aunque no está claro si lo lograron